Introduction au code de bonne pratique pour l'IA à usage général

Dernière mise à jour : 14 août 2025.

Au fur et à mesure de la mise en œuvre de la loi sur l'IA, il est important de comprendre les différents mécanismes d'application prévus par le règlement. L'un des plus importants est le code de pratique de l'IA à vocation générale, qui a été élaboré par l'Office de l'IA et un large éventail de parties prenantes.

Ce résumé, qui détaille le code de pratique pour les fournisseurs de modèles d'IA à usage général, a été élaboré par Jimmy Farrellco-responsable de la politique de l'UE en matière d'IA à Pour Demainet Tekla Emborgchercheur en politique au Future of Life Institute. Pour toute question complémentaire, veuillez vous adresser à jimmy.farrell@pourdemain.eu.

Alors que la mise en œuvre de la loi sur l'IA se poursuit progressivement, il est important de comprendre les différents mécanismes d'application prévus par le règlement. L'un des plus importants est le code de pratique de l'IA à usage général (GPAI), qui a été élaboré par l'Office de l'IA et un large éventail de parties prenantes et publié en juillet 2025.

À venir dans ce billet :

• Introduction
• Normes et nécessité d'un code de pratique
  • Exigences légales pour le code de bonnes pratiques
• Résumé du contenu du code de bonnes pratiques
• Champ d'application du modèle GPAI Définition du fournisseur
  • Fournisseurs du modèle GPAI
  • Modèle GPAI avec fournisseurs de risque systémique
• Signatures : Qui a signé et qu'est-ce que cela signifie ?
• Application du code de bonnes pratiques
• Historique : Le processus d'élaboration du code de bonnes pratiques
  • Structure du groupe de travail
  • Plénière
  • Présidents et vice-présidents

Introduction

Ce billet de blog explique le concept, le processus et l'importance du code de bonnes pratiques, un outil de la loi sur l'IA destiné à combler la période intermédiaire entre l'entrée en vigueur des obligations pour les fournisseurs de modèles d'IA à usage général (GPAI) et l'adoption éventuelle de normes européennes harmonisées pour les modèles GPAI. Suite à la publication du code de bonnes pratiques final le 10 juillet, et à la confirmation par la Commission et la commission de l'IA de l'adéquation du code final, ce billet résume les informations les plus importantes et les plus récentes. Un résumé complet du contenu du code est fourni dans un autre billet de blog.

Normes et nécessité d'un code de pratique

Après l'entrée en vigueur de la loi sur l'IA le 1er août 2024, les obligations prévues par le règlement sont introduites progressivement, comme indiqué dans un précédent article de blog, les dispositions relatives aux systèmes d'IA interdits étant en vigueur depuis février 2025 et les dispositions relatives aux modèles GPAI étant en vigueur depuis le 2 août 2025. Entre-temps, le processus complexe d'élaboration de normes européennes harmonisées qui concrétisent les obligations de la loi sur l'IA a commencé. Alors qu'une demande officielle de normalisation a été adoptée par la Commission et approuvée par le CEN-CENELEC en ce qui concerne les normes relatives aux systèmes d'IA¹une demande équivalente concernant les normes du modèle GPAI doit encore être rédigée. La date à laquelle une telle demande de normalisation sera émise dépend en grande partie de l'efficacité avec laquelle le code de pratique met en œuvre les obligations pertinentes en vertu de la loi sur l'IA. Le processus de normalisation est détaillé dans un autre article de blog. 

En vertu de la loi sur l'IA, les obligations relatives aux modèles GPAI, détaillées aux articles 50 à 55, sont exécutoires douze mois après l'entrée en vigueur de la loi.² après l'entrée en vigueur de la loi (2 août 2025). Cependant, le processus de normalisation européen, qui implique principalement des³ le Comité européen de normalisation (CEN) et le Comité européen de normalisation électrotechnique (CENELEC), prend souvent jusqu'à trois ans.⁴. Ce processus peut durer encore plus longtemps pour les normes plus techniques, telles que celles du GPAI, et si elles sont rédigées en coordination avec des normes internationales⁵comme le prévoit la loi sur l'AI⁶. L'engagement des différentes parties prenantes et la recherche d'un consensus, qui caractérisent l'élaboration des normes, prolongent encore le délai. Il est donc peu probable que les obligations des fournisseurs du modèle GPAI soient mises en œuvre sous la forme de normes techniques dans un avenir proche.

Exigences légales pour le code de bonnes pratiques

L'article 56 de la loi sur l'IA définit le code de bonnes pratiques comme un mode de conformité provisoire permettant de combler l'écart entre l'entrée en vigueur des obligations des fournisseurs de modèles GPAI (douze mois) et l'adoption des normes (trois ans ou plus). Bien qu'il ne soit pas juridiquement contraignant, les fournisseurs de modèles GPAI peuvent s'appuyer sur le code de bonne pratique pour démontrer qu'ils respectent les obligations des fournisseurs de modèles GPAI dans les domaines suivants les articles 53 et 55 jusqu'à ce que des normes soient élaborées. Ces obligations sont les suivantes⁷:

• Fourniture de la documentation technique à l'Office AI et aux autorités nationales compétentes
• Fourniture d'informations pertinentes aux fournisseurs en aval qui cherchent à intégrer des modèles dans leur système d'IA ou de GPAI (par exemple, capacités et limites).
• Résumé des données de formation utilisées
• Politiques visant à se conformer à la législation de l'Union en matière de droits d'auteur

Pour les modèles GPAI présentant un risque systémique (modèles formés au-dessus du seuil de 10^25 opérations en virgule flottante, ou FLOP), les obligations supplémentaires sont les suivantes⁸:

• Évaluation des modèles de l'état de l'art
• Évaluation et atténuation des risques
• Rapport sur les incidents graves, y compris les mesures correctives
• Protection adéquate de la cybersécurité

Les prestataires qui ne démontrent pas qu'ils respectent le code de bonnes pratiques devront prouver à la Commission qu'ils respectent les obligations susmentionnées par d'autres moyens, qui pourraient être plus lourds et plus longs à mettre en œuvre.⁹

Résumé du contenu du code de bonnes pratiques

Depuis le début du processus de rédaction en octobre 2024, trois versions provisoires du code de pratique ont été publiées avant la version finale en juillet 2025. Les présidents et vice-présidents chargés de la rédaction ont créé une page web interactive contenant le texte intégral, une FAQ et des résumés. Un aperçu complet du contenu du code est également fourni dans un autre article de blog. Vous trouverez ci-dessous un bref résumé.

Dans l'ensemble, le code comporte trois chapitres. Les deux premiers, Transparence et Droits d'auteur, s'appliquent à tous les fournisseurs de modèles GPAI. Le troisième, le chapitre sur la sûreté et la sécurité, ne s'applique qu'aux fournisseurs de modèles GPAI présentant un risque systémique (supérieur au seuil de 10^25 FLOP), soit actuellement un petit groupe de 5 à 15 entreprises dans le monde.¹⁰. Le code prévoit un total de 12 engagements - un pour chacun des deux premiers chapitres et 10 pour le chapitre sur la sûreté et la sécurité - et des mesures correspondantes sur la manière dont les fournisseurs peuvent respecter ces engagements.

Chapitre sur la transparence (tous les fournisseurs de modèles GPAI)

Dans le cadre de ce chapitre, les signataires s'engagent à tenir à jour une documentation complète pour chaque modèle GPAI qu'ils distribuent dans l'UE (à l'exception des modèles gratuits, à code source ouvert et ne présentant pas de risque systémique). Cette documentation doit suivre un formulaire de documentation de modèle standardisé, détaillant les licences, les spécifications techniques, les cas d'utilisation, les ensembles de données, l'utilisation du calcul et de l'énergie, et plus encore. Cette documentation doit être conservée en toute sécurité pendant au moins dix ans et mise à la disposition, sur demande, de l'Office AI et des utilisateurs en aval. La publication de ces informations est encouragée afin de promouvoir la transparence.

Chapitre sur le droit d'auteur (tous les fournisseurs de modèles GPAI)

Les signataires s'engagent à élaborer et à mettre régulièrement à jour une politique solide en matière de droits d'auteur, qui définit clairement les responsabilités internes et respecte les normes juridiques. Ils doivent veiller à ce que les données collectées par l'exploration du web soient légalement accessibles, respecter les signaux de droits lisibles par les machines, tels que robots.txt, et éviter d'accéder aux sites web signalés pour violation des droits d'auteur. Les mesures de protection techniques doivent minimiser la production de contenu illicite et les conditions de service doivent clairement interdire toute utilisation non autorisée. Un point de contact désigné doit être mis à la disposition des détenteurs de droits d'auteur pour qu'ils puissent déposer des plaintes, et des procédures efficaces et équitables doivent être mises en place pour les traiter. 

Chapitre sur la sûreté et la sécurité (seul modèle GPAI avec fournisseurs de risque systémique)

Ce chapitre ne concerne que les fournisseurs de modèles GPAI présentant un risque systémique. Les signataires doivent élaborer un cadre de sûreté et de sécurité de pointe avant la diffusion du modèle, en précisant les déclencheurs d'évaluation, les catégories de risque, les stratégies d'atténuation, les méthodes de prévision et les responsabilités organisationnelles. Les risques systémiques doivent être identifiés au moyen de processus structurés tels que des inventaires, des analyses de scénarios et la consultation d'experts internes et externes. Avant de poursuivre le développement ou le déploiement, les signataires doivent évaluer si les risques identifiés sont acceptables, en appliquant des cadres de niveaux de risque définis avec des marges de sécurité intégrées. Un rapport obligatoire sur le modèle de sûreté et de sécurité doit être soumis avant la publication et mis à jour au fur et à mesure de l'évolution des risques. Pour garantir la responsabilité de l'organisation, les signataires doivent clairement attribuer les rôles de supervision, d'appropriation, de contrôle et d'assurance au sein de leurs structures de gouvernance et garantir des ressources adéquates, une forte culture du risque et des protections pour les dénonciateurs. Les incidents graves doivent être rapidement suivis, documentés et signalés aux régulateurs en fonction de leur gravité et dans des délais serrés. Enfin, les signataires sont tenus de conserver des dossiers détaillés sur les activités de gestion de la sécurité et des risques pendant au moins dix ans.

Champ d'application du modèle GPAI Définition du fournisseur

Fournisseurs du modèle GPAI

Les chapitres du code consacrés à la transparence et au droit d'auteur concernent tous les fournisseurs de modèles GPAI. Les "modèles d'IA à usage général" sont définis dans la loi sur l'IA comme des modèles qui font preuve d'une grande généralité et qui sont capables d'exécuter avec compétence un large éventail de tâches distinctes et qui peuvent être intégrés dans une variété de systèmes ou d'applications en aval.¹¹ À titre de critère indicatif, les lignes directrices GPAI suggèrent que les modèles formés sur plus de 10^23 FLOP et capables de générer du langage, du texte à l'image ou du texte à la vidéo doivent être considérés comme GPAI.¹² Le mode de diffusion du modèle (poids libres, API, etc.) n'a pas d'importance pour la définition du modèle GPAI, sauf lorsque le modèle est utilisé pour des activités de recherche, de développement ou de prototypage avant sa mise sur le marché.¹³ Toutefois, le mode de diffusion a de l'importance pour les obligations applicables, car les fournisseurs de modèles GPAI diffusés sous une licence libre et gratuite sont exemptés des obligations prévues à l'article 53, paragraphe 1, points a) et b).¹⁴ Les fournisseurs de modèles AMPI sont des personnes physiques ou morales, des autorités publiques, des agences ou d'autres organismes qui développent ou font développer un modèle AMPI et le mettent sur le marché sous leur propre nom ou marque, que ce soit à titre onéreux ou gratuit.¹⁵

Il est possible qu'un modificateur en aval devienne le fournisseur d'un modèle GPAI initialement fourni par un acteur en amont. Les lignes directrices de la Commission suggèrent que cela ne sera le cas que si la modification entraîne un "changement significatif dans la généralité, les capacités ou le risque systémique du modèle".¹⁶ Un tel changement est présumé se produire si le modificateur en aval utilise plus d'un tiers de calcul pour la modification par rapport au calcul utilisé pour le modèle original.¹⁷ Si cette valeur est inconnue du fournisseur en aval, ce seuil est remplacé par un tiers du seuil à partir duquel le modèle est présumé être un modèle GPAI, qui est actuellement de 10^23 FLOP.¹⁸ 

Les lignes directrices GPAI fournissent des exemples pour clarifier le champ d'application. Par exemple, un modèle formé en utilisant plus de 10^24 FLOP pour la tâche restreinte d'augmenter la résolution des images n'est pas considéré comme un modèle GPAI.¹⁹ Bien que le modèle de l'exemple satisfasse au seuil de calcul, il ne peut exécuter avec compétence qu'un ensemble restreint de tâches et n'est donc pas considéré comme un modèle à usage général.

Modèle GPAI avec fournisseurs de risque systémique

Le chapitre du code consacré à la sûreté et à la sécurité s'applique aux entités qui fournissent des modèles GPAI présentant un risque systémique. Le "risque systémique" est défini comme spécifique aux capacités à fort impact des modèles GPAI, ayant un impact significatif sur le marché de l'Union.²⁰ Cela peut être dû à leur portée ou à des effets négatifs réels ou raisonnablement prévisibles sur la santé publique, la sûreté, la sécurité publique, les droits fondamentaux ou la société dans son ensemble, qui peuvent se propager à grande échelle dans la chaîne de valeur. Les modèles sont présumés avoir des capacités d'impact élevées lorsque le montant cumulé des calculs utilisés pour leur formation est supérieur à 10^25 FLOP. Cette présomption est réfutable. Actuellement, on estime que 11 fournisseurs dans le monde proposent des modèles qui dépassent ce seuil.

Les modificateurs en aval peuvent devenir les fournisseurs d'un nouveau modèle GPAI avec risque systémique, sur la base de considérations similaires à celles exposées ci-dessus pour les modificateurs GPAI en aval. Autrement dit, si le modificateur en aval utilise plus d'un tiers de calcul pour la modification par rapport au calcul de formation pour le modèle original d'IMAO avec risque systémique, le modificateur en aval devient le fournisseur.²¹ Si la quantité originale de calcul de formation est inconnue du fournisseur en aval, le seuil est remplacé par un tiers du seuil pour le modèle présumé être un modèle GPAI avec risque systémique, qui est actuellement de 10^25 FLOP.

Les fournisseurs de modèles GPAI présentant un risque systémique peuvent contester la classification en démontrant que, bien que dépassant le seuil de calcul, leur modèle ne possède pas de "capacités à fort impact" qui égalent ou dépassent les modèles les plus avancés.²²

Signatures : Qui a signé et qu'est-ce que cela signifie ?

La Commission a publié le formulaire de signature, la description du processus et la liste des signataires sur son site web. Les signataires comprennent la majorité des entreprises qui développent les modèles GPAI les plus avancés, à l'exception notable de META et des entreprises basées en Chine. À la date de la présente mise à jour, les entreprises suivantes ont signé le code de bonnes pratiques :

• Accexible
• Solutions d'alignement de l'IA
• Aleph Alpha
• Almawave
• Amazon
• Anthropique
• Bria AI
• Cohère
• Institut du cyberespace
• Domyn
• Dweve
• Euc Inovação Portugal
• Fastweb
• Google
• Technologie humaine
• IBM
• Lawise
• Microsoft
• Mistral AI
• Open Hippo
• OpenAI
• Pléias
• réinventer
• ServiceNow
• Virtuo Turing
• RÉCRIVATEUR

Les lignes directrices GPAI précisent que les fournisseurs de modèles GPAI (présentant un risque systémique) peuvent démontrer qu'ils respectent leurs obligations au titre de la loi sur l'IA en adhérant au code de bonnes pratiques, maintenant que le conseil d'administration et l'office de l'IA ont publié leurs évaluations de confirmation du code. Pour les signataires, la Commission concentrera ses activités d'exécution sur le contrôle du respect du code, ce qui témoignera d'une confiance accrue, et pourra tenir compte des engagements pris à l'égard du code en tant que facteurs atténuants lors de la fixation du montant des amendes.²³ Les non-signataires, quant à eux, doivent prouver qu'ils respectent le code par d'autres moyens adéquats.²⁴ Ils peuvent recevoir un plus grand nombre de demandes d'informations et devront généralement fournir des informations plus détaillées.

Application du code de bonnes pratiques

Les règles de l'AMPI sont entrées en vigueur le 2 août 2025, ce qui signifie que tous les nouveaux modèles commercialisés à partir de cette date doivent être conformes. Toutefois, les mesures d'exécution de la Commission - telles que les demandes d'informations, l'accès aux modèles ou les rappels de modèles - ne commenceront qu'un an plus tard, le 2 août 2026. Ce délai de grâce donne aux fournisseurs le temps de travailler avec l'Office AI pour s'assurer qu'ils respectent les normes. Pour les modèles commercialisés avant le 2 août 2025, les fournisseurs ont jusqu'au 2 août 2027 pour les mettre en conformité.

Selon les lignes directrices de l'AMPI, la Commission adoptera une approche collaborative, progressive et proportionnée pour la supervision, l'enquête, l'application et le suivi des dispositions de l'AMPI.²⁵

La Commission peut décider d'approuver le code au moyen d'un acte d'exécution, ce qui lui conférerait une "validité générale" au sein de l'Union.²⁶ Il n'est pas certain que la Commission choisisse de le faire et quelles seraient les implications juridiques d'un tel acte d'exécution.

Des universitaires et des organisations de la société civile, ainsi que des experts indépendants ayant participé à l'élaboration du code, ont souligné qu'une application adéquate du code nécessiterait des ressources et du personnel nettement plus importants que ceux actuellement alloués. En particulier, les effectifs de l'unité "Réglementation et conformité" et de l'unité "Sécurité de l'IA" de l'Office de l'immigration et de la protection des réfugiés (OIR) devraient être multipliés par trois par rapport aux niveaux de mi-2025. On ne sait pas encore si ces ressources seront allouées.

Historique : Le processus d'élaboration du code de bonnes pratiques

Le processus de rédaction a débuté en octobre 2024 et a impliqué plus d'un millier de parties prenantes, à la suite d'un appel à manifestation d'intérêt. Ces parties prenantes ont fourni des contributions écrites sur trois projets de code différents. Les participants comprenaient un éventail d'acteurs, notamment des fournisseurs de modèles GPAI, des fournisseurs en aval, des associations commerciales, des universitaires, des experts indépendants et des organisations de la société civile. Ce processus multipartite a été dirigé par treize présidents et vice-présidents indépendants. 

Structure du groupe de travail

Les présidents ont divisé la rédaction en quatre catégories de contenu différentes, conformément à la section du modèle GPAI de la loi sur l'IA :

• Groupe de travail 1 : Transparence et règles relatives au droit d'auteur

Détailler la documentation destinée aux prestataires en aval et à l'Office AI sur la base des annexes XI et XII de la loi sur l'AI, les politiques à mettre en place pour se conformer à la législation de l'Union sur le droit d'auteur et les droits connexes, et mettre à la disposition du public un résumé du contenu de la formation.

• Groupe de travail 2 : Identification des risques et mesures d'évaluation du risque systémique

Détailler la taxonomie des risques sur la base d'une proposition de l'Office AI et identifier et détailler les mesures techniques pertinentes d'évaluation des risques, y compris l'évaluation des modèles et les tests contradictoires.

• Groupe de travail 3 : Mesures d'atténuation des risques systémiques

Identifier et détailler les mesures techniques pertinentes d'atténuation des risques, y compris la protection de la cybersécurité pour le modèle d'IA à usage général et l'infrastructure physique du modèle.

• Groupe de travail 4 : Gestion interne des risques et gouvernance pour les fournisseurs de modèles d'IA à usage général

Identifier et détailler les politiques et les procédures pour rendre opérationnelle la gestion des risques dans la gouvernance interne des fournisseurs de modèles d'IA à usage général, y compris le suivi, la documentation et le signalement des incidents graves et des mesures correctives possibles.

Source : Commission européenne Commission européenne

Plénière

Après chaque nouvelle itération du projet, les présidents ont organisé des séances plénières pour répondre aux questions et permettre aux parties prenantes de s'exprimer. Les plénières ont été divisées en quatre groupes de travail, sur la base des différentes catégories de contenu décrites ci-dessus, un seul représentant de chaque organisation étant autorisé dans chaque groupe de travail. La plénière de lancement a eu lieu le 30 septembre 2024 - une réunion virtuelle à laquelle ont participé près d'un millier de personnes.²⁷ de l'industrie, des titulaires de droits, de la société civile et du monde universitaire.²⁸ Trois autres plénières ont eu lieu pour tous les groupes de travail. Parallèlement aux quatre groupes de travail, des ateliers ont été organisés à l'intention des fournisseurs de modèles GPAI et des présidents/vice-présidents des groupes de travail afin d'informer chaque cycle de rédaction itératif, ces parties prenantes étant considérées comme les principaux destinataires de la CdP. En outre, un atelier distinct a été organisé pour les organisations de la société civile.

Les premières phases du processus de rédaction ont respecté le calendrier initialement prévu. Au cours de la dernière phase, la publication du troisième projet et de la séance plénière a été retardée de deux semaines, et la publication du code final, présenté lors de la séance plénière de clôture du 3 juillet 2025 et publié le 10 juillet, a été retardée d'un mois.

Figure 1 : Processus de rédaction de la CdP - Source : Commission européenne

Présidents et vice-présidents

Les présidents et vice-présidents ont joué un rôle essentiel dans le processus de rédaction du code de bonnes pratiques. Ils ont été désignés sur la base de leur expertise avérée dans les domaines concernés, de leur capacité à remplir leur rôle (engagements temporels et expérience opérationnelle) et de leur indépendance, c'est-à-dire "l'absence d'intérêt financier ou autre susceptible d'affecter leur indépendance, leur impartialité et leur objectivité". Ils étaient les "détenteurs de la plume" chargés de rassembler les contributions de toutes les parties prenantes dans un code de bonnes pratiques succinct. La liste des présidents et de leurs antécédents respectifs figure ci-dessous :

Groupe de travail 1 : Transparence et règles relatives au droit d'auteur

Groupe de travail 2 : Identification et évaluation des risques, y compris les évaluations

Groupe de travail 3 : Atténuation des risques techniques

Groupe de travail 4 : Gestion interne des risques et gouvernance des fournisseurs d'IA polyvalents

L'engagement en temps pour ces postes conséquents était important. Toutefois, pour des raisons d'indépendance financière, les postes de président ou de vice-président n'étaient pas rémunérés (cela s'appliquait également à tous les participants à la plénière), mais ils étaient soutenus par des contractants externes, à savoir un consortium de sociétés de conseil, dont la société de conseil française Wavestone.

Notes et références

1. Demande de normalisation pour les systèmes d'intelligence artificielle ︎
2. Article 113, point b) ︎
3.  L'Institut européen des normes de télécommunications (ETSI) peut également être impliqué. ︎
4.  CEN-CENELEC ︎
5. ISO ︎
6.  Article 40, paragraphe 3 ︎
7.  Article 53 ︎
8.  Article 55 ︎
9.  Article 53, paragraphe 4, et article 55, paragraphe 2 ︎
10.  FAQ sur la sûreté et la sécurité ︎
11.  Article 3, paragraphe 63 ︎
12.  Lignes directrices de la Commission, paragraphe 17 ︎
13.  Il convient toutefois de noter que le mode de diffusion a une incidence sur les obligations applicables, car les fournisseurs de modèles GPAI diffusés sous une licence libre et gratuite sont exemptés des obligations prévues à l'article 53, paragraphe 1, points a) et b) (voir l'article 53, paragraphe 2, et le chapitre 4 des lignes directrices GPAI) ︎.
14.  Article 53, paragraphe 2, et lignes directrices de l'AMPI, chapitre 4 ︎
15.  Article 3, paragraphe 3 ︎
16.  Lignes directrices de la Commission, paragraphe 62 ︎
17.  Lignes directrices de la Commission, paragraphe 63 ︎
18.  Lignes directrices de la Commission, paragraphe 64 ︎
19.  Lignes directrices de la Commission, paragraphe 20 ︎
20.  Article 3, paragraphe 65 ︎
21.  Lignes directrices de la Commission, paragraphe 63 ︎
22.  Article 52, paragraphe 2 ︎
23.  Lignes directrices de la Commission, paragraphe 94 ︎
24.  Lignes directrices de la Commission, paragraphe 95 ︎
25.  Lignes directrices de la Commission, paragraphe 102 ︎
26.  Article 56, paragraphe 6 ︎
27.  Nombre communiqué dans le communiqué de presse de la Commission ︎
28.  Article d' Euractiv sur la diversité des participants ︎